Revisorlovens § 31 giver revisionsudvalget til opgave at følge, om kontrol, risikostyring og en eventuel intern revision virker, men bestemmelsen er afgrænset til regnskabet og bæredygtighedsrapporteringen. Cybersikkerhed som sådan ligger uden for den lovpligtige opgave.
Det betyder ikke, at udvalget skal lade emnet ligge. Det betyder, at en opgave med cybersikkerhed i udvalget kommer fra bestyrelsens egen beslutning, ikke fra loven.
Hvem skal have et revisionsudvalg
Efter § 31, stk. 1, skal virksomheder af interesse for offentligheden etablere et revisionsudvalg, med de undtagelser loven nævner. Erhvervsstyrelsen opregner gruppen i sin vejledning: selskaber med værdipapirer på et reguleret marked i EU eller EØS, pengeinstitutter, realkreditinstitutter og forsikringsselskaber.
Mindst ét medlem skal have kvalifikationer inden for regnskabsvæsen eller revision, og medlemmerne skal samlet have kompetencer af relevans for den sektor, virksomheden arbejder i. Under visse betingelser og efter størrelseskriterier kan den samlede bestyrelse varetage udvalgets funktioner. Datterselskaber er fritaget, hvis moderselskabet er omfattet af kravet.
Hvad loven siger om kontrol og risikostyring
§ 31, stk. 3, giver udvalget en række minimumsopgaver. Nummer 3 er den, der handler om kontrol. Udvalget skal følge, om virksomhedens systemer for kvalitetskontrol og risikostyring, og en eventuel intern revision, virker effektivt, hvad angår regnskabsaflæggelsen og, hvor det er relevant, bæredygtighedsrapporteringen. Det skal ske uden at krænke revisionens uafhængighed.
De øvrige opgaver handler om at underrette bestyrelsen om resultatet af revisionen, overvåge regnskabsaflæggelsen og den lovpligtige revision, overvåge revisors uafhængighed og stå for udvælgelsen af revisor.
Bæredygtighedsrapporteringen er kommet ind i bestemmelsen i den gældende lovbekendtgørelse fra februar 2025. Erhvervsstyrelsens vejledning er fra 2022 og nævner den ikke. Loven er desuden ændret ved en lov fra september 2026, og det er ikke undersøgt her, om ændringen berører § 31. Læs lovteksten på retsinformation, før I henviser til bestemte stykker.
Overvågning, ikke kontrol
Erhvervsstyrelsen lægger vægt på ordet overvåge. Loven kræver ikke, at udvalget udfører opgaver, der hører under direktionen eller den interne eller eksterne revision. Udvalget er ikke en del af den interne kontrol, men fører tilsyn på grundlag af information fra andre.
Styrelsen skriver også, at det ikke er helt klart, hvad det betyder ikke at krænke den interne revisions uafhængighed, og at udvalget formentlig ikke må blive en del af kontrolsystemet. Bestemmelsen skal ifølge styrelsen ses i sammenhæng med selskabslovens §§ 115 og 116.
Hvor cybersikkerheden falder udenfor
Mange cyberrisici har ingen direkte forbindelse til regnskabet. Et angreb, der lammer en fabrik, en lækage af kundedata eller en svigtende leverandør af driften er alvorlige for virksomheden, men de handler ikke i første række om, hvorvidt regnskabet er retvisende.
Hvor grænsen går i det enkelte tilfælde, er en tolkning. Adgang til økonomisystemet og ændringer i det har en tydelig forbindelse til regnskabsaflæggelsen. Beredskab for produktionen har det typisk ikke. Udvalgets lovpligtige overvågning dækker det første, ikke nødvendigvis det andet.
Konsekvensen er, at et revisionsudvalg, der kun gør det, loven kræver, kan have overvåget kontrollerne omkring regnskabet grundigt uden at have set på resten af cyberrisikoen.
Hvad bestyrelsen selv kan beslutte
Bestyrelsen kan give udvalget flere opgaver. Det er praksis at skrive i udvalgets kommissorium, at det også følger cyberrisikoen, hvilke rapporter det modtager, og hvor ofte.
For børsnoterede selskaber peger anbefalingerne for god selskabsledelse i samme retning. Anbefaling 3.4.3 lægger op til, at udvalget ser på kontrol- og risikoområderne med fokus på de største risici. Det er soft law efter princippet om at følge eller forklare, og andre virksomheder kan hente inspiration i det.
Lægger bestyrelsen cybersikkerheden i udvalget, gælder Erhvervsstyrelsens pointe stadig. Udvalget overvåger. Det er ikke dets opgave selv at kontrollere eller at styre sikkerheden.
I en koncern
Efter § 31, stk. 9, nr. 1, er dattervirksomheder fritaget for kravet om revisionsudvalg, hvis modervirksomheden er omfattet. I en koncern ligger revisionsudvalget derfor ofte kun i moderselskabet.
Det er en tolkning, men skal udvalget dér også følge cyberrisikoen, bør kommissoriet sige, om det gælder hele koncernen eller kun moderselskabet. Datterselskabernes bestyrelser har stadig deres egne opgaver efter selskabslovens § 115, og de forsvinder ikke, fordi moderselskabets udvalg ser på emnet.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at bestyrelsen beslutter, hvor cyberrisikoen følges: i udvalget, i den samlede bestyrelse eller begge steder. Beslutningen skrives ind i kommissoriet sammen med de rapporter, udvalget skal have.
Uden den beslutning går bestyrelsen let ud fra, at udvalget har cybersikkerheden, fordi det har kontrol og risikostyring på dagsordenen. I praksis kan udvalget have holdt sig til det, loven beder om, og så har ingen fulgt resten. Hullet opdages typisk først, når en hændelse rammer et område, som hverken udvalget eller den samlede bestyrelse har haft på dagsordenen.
Det skal I lade være med
- At skrive, at § 31 kræver overvågning af cybersikkerhed · bestemmelsen er knyttet til regnskab og bæredygtighedsrapportering.
- At lade udvalget blive en del af kontrollen · loven og styrelsen beskriver en overvågende rolle.
- At henvise til stykker fra en ældre vejledning · nummereringen er ændret siden 2022.
Det skal gennemgangen kunne vise
- ☐ Et kommissorium, der angiver, om udvalget følger cyberrisikoen ud over regnskabet.
- ☐ Hvilke rapporter om cybersikkerhed udvalget modtager, og hvor ofte.
- ☐ Hvor cyberrisiko uden forbindelse til regnskabet følges, hvis ikke i udvalget.
- ☐ Henvisninger til den gældende lovtekst.
Kilder
- Lovbekendtgørelse nr. 206 af 20. februar 2025 af lov om godkendte revisorer og revisionsvirksomheder, § 31, læst 14. november 2026.
- Erhvervsstyrelsen, Vejledning om revisionsudvalg, version 2, afsnit 4.1 og 4.3, læst 14. november 2026.
- Komitéen for god Selskabsledelse, Anbefalinger for god Selskabsledelse, 2. december 2020, anbefaling 3.4.3, læst 14. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs revisionsudvalgets kommissorium, og se efter, om cyberrisiko uden for regnskabet er nævnt.
Læs også: Selskabslovens § 115 · Scoren i revisionsudvalget
→ Kontakt · Tlf. 70 13 63 23 · Enterprise-audit hos Nielco IT
